Ing. Calogero Bono
L'FBI ha attribuito formalmente a TraderTraitor, gruppo di hacker legato alla Corea del Nord, il furto di oltre 6 miliardi di dollari in asset digitali a Binance. Secondo la fonte, è il maggiore furto di criptovalute della storia, oltre quattro volte il colpo a Bybit del febbraio 2025. Binance ha intanto avviato la riapertura graduale dei prelievi. Conta anche per chi non usa cripto, perché gli aggressori spesso prendono di mira le persone più che la tecnologia.
Kilka terminów, zanim przejdziemy do faktów. TraderTraitor è il nome dato a un gruppo nordcoreano attivo almeno dal 2020, noto anche come Jade Sleet o UNC4899. DeFi indica i servizi finanziari decentralizzati, usati per rimescolare i fondi. Terraform provider è un componente che gli sviluppatori usano per gestire l'infrastruttura cloud. Backdoor è un accesso nascosto che dà il controllo remoto di un computer. Congelamento on-chain è il blocco di fondi da parte degli emittenti o delle reti.
Co ustaliła FBI w sprawie kradzieży z Binance?
Według The Hacker News FBI, razem z U.S. Secret Service i IRS Criminal Investigation, zaobserwowało, jak grupa zamienia skradzione środki przede wszystkim na Ethereum. Zdaniem agencji fundusze mają potem trafiać do usług DeFi i natychmiastowej wymiany, jako przygotowanie do kolejnych etapów prania pieniędzy.
FBI opublikowało także listę adresów portfeli, których według niej używają napastnicy. Łup przekracza 1,46 miliarda ukradzione z Bybit. Kradzież objęła 11 blockchainów, a 82% na Ethereum i Bitcoinie.
Pierwsze szczegóły opisaliśmy w artykule Binance, skradzione 6,3 miliarda w 20 minut.
Ile ukradziono i ile zamrożono?
Kwoty różnią się w zależności od źródła. FBI, według The Hacker News, mówi o 6,43 miliarda dolarów. The Verge podaje 6,3 miliarda, a TechRadar 6,36 miliarda, skradzionych w około 20 minut.
Z 6,43 miliarda, 2,85 miliarda zostało zamrożonych on-chain przez Tether, Circle, Ripple, Arbitrum i Optimism. To nasze wyliczenie, ale stanowi to około 44% całości.
Według firmy analitycznej Elliptic ten epizod prawie podwaja sumę skradzioną przez reżim z Korei Północnej. Kradzieże przypisywane podmiotom związanym z Koreą Północną miałyby przekraczać 6,5 miliarda w ostatnich latach.
Czy użytkownicy Binance odzyskają pieniądze?
Binance deklaruje, że pokryje w całości skutki finansowe. Według The Verge dyrektor generalny twierdzi, że 90% środków zostało przywróconych. Pozostałe 10% dotyczy tokenów «mniej płynnych», które mogą wymagać więcej czasu.
Nigel Green, CEO deVere Group, zauważa, że fundusz awaryjny wynosi około 1,2 miliarda, a luka jest znacznie większa. Reszta powinna więc pochodzić z budżetu firmy.
Jeśli chodzi o wypłaty, Binance ogłosiło wznowienie pierwszego etapu, między 6 a 9 UTC. Wpłaty, jak podkreśla, pozostały otwarte i nie zostały naruszone.
Jak działa TraderTraitor i co mają z tym wspólnego programiści?
Grupa oszukuje ofiary zainfekowanymi aplikacjami. Według raportów SentinelOne, Zscaler i Microsoft, na które powołuje się źródło, wykorzystuje zmanipulowane dostawców Terraform jako środek dystrybucji. Loader Bash wybiera malware dopasowany do systemu operacyjnego, aż do backdoora ROOFDECK.
Pretekstem są fałszywe oferty pracy. Microsoft opisuje rekruterów fikcyjnej firmy wywiadowczej blockchain opartej na AI, którzy kontaktują inżynierów oprogramowania i umawiają rozmowy. AI służy też do tworzenia przynęt i fałszywych profili.
Co do wejścia do Binance, TechRadar podaje, że przejęty laptop pracownika był wstępną hipotezą, ale historia wydaje się szersza. Badacz Pieter Arntz z Malwarebytes mówi, że trzeba ustalić, które zabezpieczenia nie zatrzymały nieautoryzowanych transakcji.
Podobną dynamikę ataku opisujemy w analizie o hakerach, którzy używają AI do kradzieży kont.
Ograniczenia, o których warto wiedzieć
Non è chiaro come gli aggressori siano arrivati ai sistemi di prelievo di Binance, e la pista del portatile compromesso è solo un'ipotesi iniziale. Le cifre differiscono tra le fonti. Non è verificato che il metodo con i provider Terraform sia stato usato proprio contro Binance, la fonte lo collega al gruppo in generale. Non sappiamo quanti fondi saranno recuperati, né quando i prelievi torneranno completi.
Co zmienia się dla osób pracujących w świecie cyfrowym
Se sviluppi o gestisci infrastrutture, i componenti che installi vanno trattati come codice da verificare, anche quando arrivano da un flusso di lavoro noto. Controlla l'origine dei provider Terraform e delle dipendenze. Diffida dei recruiter che chiedono di eseguire codice durante un colloquio. Per un'azienda con server propri, aggiornamenti e monitoraggio continuo contano più della sola protezione d'ingresso, come ricorda Ben Bernstein di Huntress, che consiglia di presumere che qualcuno prima o poi entri. Occhio infine ai messaggi che sfruttano il caso Binance per phishing.
Nasza opinia
Il dato più scomodo è che un colosso con difese sofisticate sia stato battuto in circa 20 minuti dopo giorni di preparazione. Il comunicato sui rimborsi rassicura i clienti, ma non risponde alla domanda centrale, cioè quali controlli non hanno funzionato. Finché Binance non lo spiega, la promessa di trasparenza resta incompleta. Per le imprese la lezione non riguarda le cripto. Il bersaglio sono le persone e gli strumenti di lavoro quotidiani, e la sicurezza tecnica da sola non basta.
Najczęstsze pytania
Chi è TraderTraitor?
È un gruppo di hacker allineato alla Corea del Nord, attivo almeno dal 2020. Secondo la fonte è noto anche come Jade Sleet e UNC4899, ed è già stato legato ad attacchi a DMM Bitcoin, Bybit, KelpDAO e Bitget.
Quanto è stato rubato a Binance?
Dipende dalla fonte. L'FBI, secondo The Hacker News, indica 6,43 miliardi di dollari, mentre The Verge parla di 6,3 miliardi e TechRadar di 6,36 miliardi.
I fondi sono stati recuperati?
In parte. Tether, Circle, Ripple, Arbitrum e Optimism hanno congelato 2,85 miliardi. Binance dichiara inoltre di aver reintegrato il 90% dei fondi per i clienti.
I prelievi su Binance sono ripartiti?
Sì, in modo graduale. Binance ha riaperto la prima fase dei prelievi tra le 6 e le 9 UTC, mentre i depositi non sono mai stati chiusi.
Chi non ha cripto rischia qualcosa?
Il rischio diretto è piccolo, secondo Ben Bernstein di Huntress. Restano però possibili truffe che usano il caso come esca, quindi controlla lo stato dell'account solo da app o sito ufficiali.
Cosa osservare dopo l'attribuzione dell'FBI
Il caso è aperto su più fronti, dalle indagini ai rimborsi. Questi sono i segnali da seguire nelle prossime settimane.
- Segui se Binance pubblica un resoconto tecnico su come gli aggressori hanno raggiunto i sistemi di prelievo e la nuova prova delle riserve.
- Controlla se nuovi fondi vengono congelati o recuperati, usando gli indirizzi di wallet diffusi dall'FBI.
- Osserva se le autorità di Stati Uniti, Europa e Asia introducono standard di sicurezza obbligatori per le piattaforme, come ipotizza Nigel Green.
